Fail-open versus fail-closed: co rozhoduje nouzový vypínač VPN
Oba termíny popisují, co se stane, když tunel zmizí, nikoli jak silné je šifrování. Rozhoduje rozsah, který zvolíte, zda provoz skutečně uniká.
Mýtus říká, že fail-closed je bezpečné nastavení a fail-open to nedbalé. Oba popisují, co se stane s provozem, jakmile tunel zmizí, a ani jeden nemění, jak dobře tento tunel šifruje. Zásada fail-closed se širokým seznamem výjimek může unikat víc než zásada fail-open na zařízení, které nikdy neopustí kancelářskou síť. Vyberte výsledek, který dokážete vysvětlit člověku, jemuž provoz patří.
Označení popisuje výsledek, ne sílu
Slovník pochází z řídicích systémů: fail-open povoluje činnost, když komponenta selže, fail-closed ji odmítá. U VPN je selhávající komponentou tunel a otázkou je, zda se provozu dovolí pokračovat jinou cestou. Volba šifry, délka klíče a protokol jsou samostatná rozhodnutí.
Zmatek přetrvává, protože nouzový vypínač zní jako bezpečnostní funkce a prodejci ho tak prodávají. Mechanicky jde o pravidlo směrování a firewallu, které blokuje provoz, jenž měl tunel nést, provedené v klientovi, v operačním systému nebo na bráně. Kterákoli vrstva ho vynucuje, určuje také jeho pokrytí, a pravidlo v jedné vrstvě nekryje jinou. Pravidlo na bráně neochrání notebook, který už přešel na jinou síť.
Jak vypadá každý výsledek
Stejná zásada se může chovat velmi různě podle toho, na jaké selhání narazíte, proto porovnávejte události, ne označení.
| Event | Fail-open result | Fail-closed result |
|---|---|---|
| Tunnel drops while a transfer runs | Transfer continues on the direct path | Transfer stalls until the tunnel returns |
| Client exits or crashes | Rules disappear with the process | Rules persist only if the OS owns them |
| Device boots before sign-in | Normal network access | Blocked until the VPN connects |
| Captive portal needed | Portal loads normally | Portal unreachable without an exception |
| IPv6 not carried by the tunnel | IPv6 traffic leaks directly | Leaks too, unless the block covers IPv6 |
Poslední řádek chytá ty, kdo předpokládají, že nouzový vypínač je jediný přepínač. Pravidlo napsané pro směrovací tabulku IPv4 nechává výchozí trasu IPv6 nedotčenou a aplikace ji může klidně použít.
O rozsahu rozhoduje, zda uniká
Ptejte se, co zásada pokrývá, dřív než se ptáte, který režim to je. Pravidlo pro jednu aplikaci chrání jednu aplikaci a nic jiného, pravidlo pro celé zařízení chrání vše kromě výjimek a pravidlo na bráně chrání jen provoz, který do té brány dorazí. DNS potřebuje vlastní rozhodnutí, protože dotaz odeslaný místnímu resolveru může odhalit názvy, i když je obsah blokovaný.
Výjimky pro místní síť existují kvůli tiskárnám, přenosu obrazu a přihlašovacím portálům a každá je dírou v blokaci. Zdokumentujte je vedle zásady, protože ten, kdo konfiguraci zdědí, bude jinak číst fail-closed jako absolutno.
Opětovné připojení a blokování jsou také samostatné ovládací prvky. Klient se může automaticky připojovat, aniž by kdy blokoval, nebo blokovat bez připojování, a kombinace určuje, co uživatel během výpadku zažije.
Dokažte to během přechodu
Testování ustáleného stavu nic nedokazuje. Záměrně shodíte tunel a vyzkoušejte aplikaci, která má být chráněná, a pak zkontrolujte, zda dosáhla sítě. Porovnejte indikátor klienta s výsledkem, protože indikátor, který stále ukazuje připojeno, je právě ten případ, kvůli kterému zásada existuje. Pokud chráněná aplikace uspěje, na názvu režimu nezáleží; máte únik.
Zopakujte to ze studeného startu před přihlášením, při přechodu z Wi-Fi na mobilní síť a s chráněnou aplikací na pozadí. Pokud blok vynucuje proces klienta, otestujte i to, co se stane, když se tento proces zabije, místo aby se čistě zavřel.
Nakonec zkontrolujte cestu úklidu. Pokud se klient odinstaluje, zatímco jsou jeho pravidla aktivní, použijte dokumentovaný postup odinstalace od dodavatele místo vypnutí firewallu operačního systému, které odstraní nesouvisející ochranu, aniž by odpovědělo, komu zbylé pravidlo patří.